Tema 3
Para proteger bien un entorno digital primero hay que saber qué tiene valor y por dónde puede ser atacado. Ese es el punto de partida de cualquier estrategia de seguridad.
Una de las primeras tareas en ciberseguridad es identificar los activos que tienen valor y comprender cuál es la superficie de ataque asociada a ellos. Si no sabemos qué proteger, ni desde dónde puede llegar una amenaza, la defensa se vuelve improvisada.
Este tema establece una idea esencial: la seguridad no comienza instalando herramientas, sino entendiendo el entorno que queremos resguardar.
Un activo de información es cualquier recurso valioso para una persona, empresa o institución. Ese valor puede ser económico, operativo, legal, estratégico o reputacional.
No todos los activos son datos en sentido estricto. También pueden ser sistemas, cuentas, procesos, documentos, dispositivos o servicios.
| Tipo de activo | Ejemplos | Riesgo típico |
|---|---|---|
| Información | Bases de datos, contratos, historiales, credenciales | Robo, filtración o alteración |
| Identidades | Cuentas de usuario, admins, tokens, llaves API | Suplantación y acceso indebido |
| Infraestructura | Servidores, redes, routers, nube, VPN | Interrupción, intrusión, movimiento lateral |
| Aplicaciones | Sitios web, APIs, apps móviles, sistemas internos | Explotación de fallas o exposición de datos |
| Procesos | Facturación, atención, producción, logística | Paralización o fraude operativo |
| Personas | Empleados, clientes, proveedores | Ingeniería social y abuso de confianza |
Algunos activos son evidentes, como una base de datos de clientes o un portal web. Otros son menos visibles pero igual de importantes, por ejemplo:
Muchas brechas graves ocurren justamente en activos olvidados, mal inventariados o heredados.
No todos los activos requieren el mismo nivel de protección. Una forma habitual de priorizar es clasificarlos por criticidad según el impacto que tendría su compromiso.
Esta clasificación ayuda a invertir tiempo y controles donde realmente importa.
Una manera útil de pensar seguridad es esta:
Por ejemplo, una base de datos de clientes puede requerir autenticación fuerte, segmentación, cifrado, monitoreo y backups. En cambio, un contenido público del sitio web tendrá otras necesidades.
La superficie de ataque es el conjunto de puntos, interfaces, accesos o condiciones que un atacante podría aprovechar para comprometer un activo o un sistema.
En términos simples, es todo lo que "queda expuesto" o que puede convertirse en una vía de entrada, abuso o interrupción.
La superficie de ataque puede analizarse en dos planos complementarios:
Esto es importante porque muchos ataques modernos no terminan al entrar. El objetivo suele ser moverse dentro del entorno, escalar privilegios y llegar al activo más valioso.
La superficie de ataque aumenta cuando se incorporan nuevas tecnologías o prácticas sin suficiente control. Algunas causas comunes son:
Para reducir la superficie de ataque es indispensable contar con inventario actualizado de activos. No se puede proteger lo que no se conoce.
Un buen inventario debería responder preguntas como estas:
Hoy muchas organizaciones dependen de proveedores, plataformas externas, librerías, servicios cloud y socios tecnológicos. Esos elementos también forman parte del riesgo global.
Por eso, la superficie de ataque no termina en el perímetro propio. También incluye relaciones de confianza con terceros que pueden convertirse en puerta de entrada o fuente de exposición.
Supongamos una empresa con tienda online. Algunos activos críticos podrían ser:
Su superficie de ataque incluiría el sitio web público, el formulario de login, las APIs, el correo del personal, los accesos remotos de administración y las configuraciones cloud. Este ejemplo muestra que un mismo negocio combina muchos activos y muchas posibles vías de compromiso.
Reducir superficie de ataque no significa eliminar toda funcionalidad, sino exponer menos y controlar mejor. Algunas medidas comunes son:
La seguridad se vuelve mucho más clara cuando se analiza en términos de activos y superficie de ataque. Ese enfoque permite priorizar, asignar responsabilidades y aplicar controles con criterio.
En el próximo tema veremos los principios de confidencialidad, integridad y disponibilidad con más profundidad, porque son la base conceptual sobre la que se apoyan muchas decisiones de seguridad.